Die ZAIT ist reif – BaFin veröffentlicht Entwurf des neuen IT-Regelwerks für Zahlungs- und E-Geld-Institute

Nach den BaFin-Rundschreiben BAIT, VAIT und KAIT war es zu erwarten, dass auch die IT von Zahlungsinstituten und E-Geld-Instituten seitens der BaFin mit einem neuen Regelwerk bedacht wird. Seit dem 12. April 2021 ist er da – der erste Entwurf des BaFin-Rundschreibens “Zahlungsdiensteaufsichtliche Anforderungen an die IT von Zahlungs- und E-Geld-Instituten – ZAIT “. Die BaFin konkretisiert hierin die IT-Anforderungen speziell für die genannten Institute.

von RAs Dr. Christian Conreder
und Fabian Hausemann, Rödl & Partner

Nicht nur begriffstechnisch, sondern auch inhaltlich orientiert sich die ZAIT eng an den bereits bekannten IT-Vorgaben für Banken (BAIT). Wie die BAIT enthält die ZAIT neben Vorgaben zur IT-Strategie und IT-Governance insbesondere Regelungen zum Informationsrisikomanagement, Informationssicherheitsmanagement und zur Abgrenzung der Auslagerung vom sonstigen Fremdbezug von Leistungen. Die ZAIT enthält die Anforderungen aus der EBA-Leitlinie (GL/2017/17) zu Sicherheitsmaßnahmen bezüglich der operationellen und sicherheitsrelevanten Risiken von Zahlungsdiensten sowie der EBA-Leitlinie (GL/2019/02) zu Auslagerungen.

Auf diese Art und Weise werden insbesondere die Vorgaben des ZAG zu § 26 ZAG (Auslagerung) sowie des § 53 ZAG (Beherrschung operationeller und sicherheitsrelevanter Risiken bei der Erbringung von Zahlungsdiensten) konkretisiert.”

Es ist zu beachten, dass die Themenkomplexe der ZAIT nicht abschließend in dieser geregelt sind.

Vor diesem Hintergrund verweist die ZAIT an diversen Stellen auf die Anwendung gängiger IT-Standards.

Zu solchen Standards zählen bspw. der IT-Grundschutz des Bundesamts für Sicherheit in der Informationstechnik (BSI), die internationalen Sicherheitsstandards ISO/IEC 270XX der International Organization for Standardization und der Payment Card Industry Data Security Standard (PC DSS).

Insbesondere bei der Implementierung der Vorgaben an die Geschäftsorganisation und mithin bei der Gestaltung der IT-Systeme und -Prozesse findet innerhalb der ZAIT das Proportionalitätsprinzip Anwendung. Für das Proportionalitätsprinzip sind die individuellen Risiken des jeweiligen Instituts maßgeblich. Bspw. können Art und Umfang der jeweils zu erbringenden Zahlungsdienste Anhaltspunkte für höhere oder niedrigere Risiken darstellen. In der Folge können bei Instituten mit einem geringen Risikopotenzial einfachere IT-Strukturen bzw. -Systeme oder -Prozesse als angemessen erachtet werden.

Der Ausblick

Die BaFin hat den ZAIT-Entwurf bis zum 14. Mai 2021 zur Konsultation gestellt und infolgedessen können Marktteilnehmer bis zum genannten Datum schriftlich gegenüber der Behörde Stellung beziehen.

Es ist davon auszugehen, dass die Anforderungen der ZAIT mit der Veröffentlichung ihrer finalen Version, wie bspw. bei der KAIT, ohne Umsetzungsfrist anzuwenden sind.”

Aus diesem Grunde sollten sich die betroffenen Institute bereits jetzt mit dem neuen Regelwerk auseinandersetzen.RAs Dr. Christian Conreder und Fabian Hausemann (aj)